El paradigma de la industria 4.0 e IoT ofrece a las empresas ICS muchas oportunidades pero también, amenazas de ciberseguridad. Los entornos industriales y de infraestructuras críticas deben prepararse por el creciente número de ciberataques para evitar problemas de calidad, seguridad de las personas/entorno o disminución de la productividad.
La IEC 62443 es un conjunto de estándares para ofrecer un acercamiento sistemático a la ciberseguridad industrial: desde la auditoría de riesgos hasta las operaciones.
Utilizando las técnicas explicadas en la IEC 62443, los responsables de seguridad pueden afrontar los riesgos para cada sistema y decidir cómo actuar en consecuencia.
En este post explicaremos cuales son los conceptos principales de la norma que utilizaremos como base para construir, en entradas posteriores, una arquitectura de referencia para Wonderware.
Estructura de la IEC62443
El conjunto de documentos que forman parte de la IEC62443 están clasificados en 4 categorías:
- General: Conceptos fundamentales, modelos de referencia y terminología
- Políticas y procedimientos: Se detalla una guía para construir y mantener un programa de gestión de ciberseguridad y refuerza la importancia de tener políticas.
- Sistema: Tecnologías de protección y requisitos para lograr un nivel de seguridad determinado.
- Componentes: Requisitos técnicos de ciberseguridad en el ciclo de vida de desarrollo de productos.
Objetivos
El objetivo principal de la norma es la de reducir los riesgos que puedan afectar a los activos que generan valor en un entorno industrial o de infraestructuras críticas.
Para lograr este objetivo debe entenderse que:
- Activo = físico (equipos, máquinas), lógicos (información), personas (know-how) cuya existencia y funcionamiento aportan valor al proceso. Para valorar el impacto de una amenaza deben valorarse tanto cuantitativamente como cualitativamente.
- Riesgo = la probabilidad de que una amenaza se produzca gracias a la existencia de vulnerabilidades que lo permiten, produciendo un efecto negativo sobre los activos del proceso
- Amenaza = evento o acción perniciosa para un activo o sistema.
- Vulnerabilidad = debilidad inherente de un activo o sistema que puede ser aprovechada, intencionalmente o no, para que una amenaza se lleve a cabo.
- Contramedida = acción o sistema destinado a eliminar vulnerabilidades o los efectos de las amenazas asociadas. Pueden ser técnicas (autenticación, IDS, anti-malware, …), administrativas (políticas, procedimientos) o físicas (barreras, puertas, …)
Conceptos básicos
El procedimiento básico de securización de una infraestructura industrial, según la IEC 62443, consta (de forma resumida y simplificada) de los siguientes pasos:
1. Identificar las zonas, conductos y canales.
- Zona
Agrupación lógica de activos que comparten los mismos requisitos de seguridad. Pueden tener subzonas que heredan sus características y permiten desarrollar estrategias de defensa en profundidad.
- Conducto
Agrupación lógica de activos que comparten los mismos requisitos de seguridad. Pueden tener subzonas que heredan sus características y permiten desarrollar estrategias de defensa en profundidad.
- Canal
Agrupación lógica de activos que comparten los mismos requisitos de seguridad. Pueden tener subzonas que heredan sus características y permiten desarrollar estrategias de defensa en profundidad.
2. Identificar el nivel de protección deseado de cada zona y conducto.
La IEC 62443 indica que para cada zona, conducto se debe decidir cuál es el nivel de protección deseado para cada uno de los requisitos fundamentales de protección.
Los niveles de seguridad definidos en la norma son:
Los requisitos fundamentales de seguridad definidos por la IEC 62443 son:
Por tanto, el nivel de seguridad deseado se representa por:
SL-T(Zona) = {AC UC DI DC RDF TRE RA}
donde cada elemento del vector es un número del 1 al 4.
3. Evaluar el nivel de protección actual
De forma análoga, para cada una de las zonas y/o conductos se evaluará el nivel de seguridad en función de si se cumplen los requisitos de sistema y de mejora de cada uno de los requisitos fundamentales mencionados anteriormente.
De esta forma:
SL-T(Zona) = {AC UC DI DC RDF TRE RA}
4. Aplicar contramedidas necesarias para que SL-A (Zona) >= SL-T (Zona)
Modelos de referencia
En los diferentes modelos que muestra la IEC 62443 nos puede dar una idea de como definir las zonas en nuestra infraestructura, aunque como se puede observar, el tamaño de las zonas es arbitrario, se pueden crear tan grandes o tan pequeñas como se estime oportuno según las características de cada uno.
Se recomienda mantener un grado de “paranoia” bajo al principio e ir creando subzonas a medida que el proceso iterativo de mejora se va ejecutando.
